Il y a quelques jours, nous racontions comment Google avait retiré en vingt-quatre heures un outil permettant de fabriquer de fausses images satellites. La question que soulevait cet épisode, celle du marquage des contenus produits par machine, n'est plus seulement morale : elle devient une obligation juridique en Europe, et le calendrier passe une étape ce mois-ci.

Un règlement qui s'applique par tranches

Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1er août 2024, mais il ne s'est pas appliqué d'un coup. Le législateur a choisi un déploiement échelonné, pour laisser aux entreprises le temps de se conformer.

Le calendrier se déroule ainsi : les dispositions générales et les pratiques interdites depuis février 2025 ; la gouvernance, les sanctions et les règles sur les modèles à usage général depuis août 2025 ; les obligations relatives aux systèmes à haut risque à partir d'août 2026 ; et l'application pleine et entière en août 2027.

Nous sommes donc au troisième palier, celui qui touche le plus directement les usages professionnels.

Quatre niveaux de risque, et une logique

L'architecture du texte ne classe pas les technologies mais les usages, ce qui est sa principale intelligence.

Au sommet, le risque inacceptable : ces systèmes sont purement interdits. On y trouve la notation sociale des individus et l'identification biométrique en temps réel dans l'espace public.

En dessous, le haut risque, qui recouvre les applications en matière de santé, d'éducation, de recrutement et de maintien de l'ordre. Elles ne sont pas interdites, mais soumises à des exigences strictes de conformité, de documentation et de contrôle. C'est ce niveau qui entre en application maintenant.

Viennent ensuite les modèles à usage général, catégorie taillée pour les grands modèles de langage, avec des obligations d'évaluation propres.

Puis le risque limité, qui inclut notamment les outils de génération d'images et de vidéos. C'est là que se situe l'obligation de transparence : l'utilisateur doit savoir qu'il a affaire à une machine ou à un contenu qu'elle a produit.

Enfin le risque minimal, qui couvre l'essentiel des usages ordinaires, filtres antispam ou intelligence artificielle de jeu vidéo, laissés à des lignes directrices volontaires.

Ce que la transparence change concrètement

L'obligation de signaler un contenu généré par une machine paraît anodine. Elle ne l'est pas, pour une raison que l'affaire des fausses images satellites illustre bien.

Le problème posé par les contenus synthétiques n'est pas seulement qu'ils trompent. C'est qu'ils rendent contestable tout ce qui est authentique. Dès lors qu'une image plausible peut être fabriquée en un clic, une image véritable peut être niée d'un revers de main. Une obligation de marquage vise précisément à préserver la valeur de preuve des documents réels.

Reste que le dispositif se heurte à une difficulté pratique déjà connue : un filigrane numérique ne survit pas toujours à une capture d'écran, et il ne sert à rien si personne ne le vérifie. La règle crée une obligation pour les fournisseurs ; elle ne crée pas, à elle seule, une habitude de vérification chez les lecteurs.

Des sanctions calibrées pour être dissuasives

Le règlement prévoit des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial de l'entreprise, le montant le plus élevé étant retenu.

Cette formule est directement héritée du RGPD, et elle poursuit le même but : rendre l'infraction plus coûteuse que la conformité pour des groupes dont les revenus se comptent en dizaines de milliards.

Le texte s'applique également de façon extraterritoriale, comme le RGPD : une entreprise établie hors de l'Union est concernée dès lors que son système est utilisé dans l'Union. C'est ce mécanisme qui a donné au droit européen des données une portée mondiale, et c'est celui sur lequel Bruxelles compte de nouveau.

Et en France ?

La surveillance ne relève pas d'une autorité unique mais d'un ensemble d'organismes. La CNIL occupe une place centrale, avec un rôle sur les pratiques interdites et sur les systèmes à haut risque, aux côtés d'autres régulateurs sectoriels.

Ce partage a une conséquence pratique pour les entreprises : selon le secteur, l'interlocuteur ne sera pas le même. Pour les particuliers, il signifie surtout que le premier réflexe, en cas de doute sur un usage de l'IA touchant à leurs données, reste la CNIL.